RADIUS reddi ile yanıt yokluğu: yerel oturum açma ne zaman çalışır

Acil durum yerel hesabı tutmak onu her reddedilen oturum açma için ikinci bir şans yapmaz. Cisco IOS ve IOS XE AAA modelinde o veritabanına yalnızca önceki yöntem belirli bir şekilde başarısız olduğunda başvurulur ve reddetme ile yanıt veren bir RADIUS sunucusu o şekilde başarısız olmamıştır. Yerel hesap erişilemeyen bir yöntemi kapsar, reddedileni değil. Tersine inanmak, bir politika kararını var olmayan bir sunucu arızası avına dönüştürür.

Yöntem listesi neden merdiven gibi görünür

Şöyle bir satır aaa authentication login default group radius local soldan sağa okunur ve çoğu kişi onu RADIUS'u dene, sonra yerel veritabanını dene diye okur. Liste bir dizi olduğu için sözdizimi bu okumaya davet eder. Anlam daha dardır: liste kimlik doğrulama yöntemlerini adlandırır ve birinden sonrakine geçme kuralı önceki yöntemin sonucuna bağlıdır, kullanıcıya bir deneme daha vermeye değil.

Hata döndüren bir yöntem ile başarısızlık döndüren bir yöntem burada farklı sonuçlara yol açar. Ret bir yanıttır, çünkü sunucu oturum açma bilgilerini işledi ve hayır dedi, ve liste orada durur. Erişilemeyen bir sunucu, süresi dolmuş bir istek veya doğrulanamayan bir yanıt, sonraki yöntemin çalışmasına izin veren durumdur ve yalnızca platformun hata işlemesi bu şekilde yapılandırıldığı yerde. Bu yüzden local eklemeye dair klasik tavsiye kesintilerde işe yarar ve yanlış parolalarda hiçbir şey yapmaz. Listeyi bunun yerine iki soru olarak okuyun: hangi yöntem yanıtlıyor ve platform neyi yanıt sayıyor.

Yöntem listesini sunucu grubundan ayırın

Yöntem listesi bir katmandır ve sunucu grubu bir başkasıdır. group radius anahtar sözcüğü, iç sırası, yeniden denemeleri, zaman aşımları ve ölü sunucu algılaması gruba ait olan bir grubu adlandırır, yerel yöntem ise onun üstündeki bir katmandır. Bu yüzden grubun içinde herhangi bir şeyi ayarlamak bir reddi yedek yola çeviremez. İki katmandan birini değiştirmeden önce hizmetin gerçekte hangi listeye başvurduğunu doğrulayın.

AAA yapılandırmasını yazdırın ve hizmetin işaret ettiği listeyi okuyun, yazdığınızı hatırladığınız varsayılan değeri değil. Bunu hizmetin gerçekte sona erdiği cihazdan yapın.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

Sunucu tablosu her girdinin durumunu ve sayaçlarını bildirir, bu da ağ geçidinin deneme sırasında sunucuya ulaşıp ulaşmadığını söyler. Artan istek sayacıyla çalışır olarak işaretlenmiş bir sunucu yanıt veriyordu, yani başarısız oturum açma bir karardır, bağlantı sorunu değildir.

Günlükten önce yanıtı okuyun

Yanıt kodu sonucu adlandırır ve kendi sonraki adımını ima eder. Access-Reject, arka ucun bir karar verdiği anlamına gelir, bu yüzden yararlı kanıt eşleşen politikadır ve arkasındaki hesap durumudur. Access-Challenge ise alışverişin ikinci faktör gibi desteklenen başka bir adım istediği anlamına gelir ve yerel yedek yol politikanın gerektirdiği bir şeyi sessizce atlardı.

Belirlenmiş bir test hesabıyla bir denemeyi yeniden üretin, böylece yanıt ve arka uç kaydı aynı zaman damgasında karşılaştırılabilir. Başarısız olmasına izin verildiğiniz bir kimlik bilgisi kullanın.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

Eksik veya tanınmayan bir RADIUS istemci girdisi sessiz zaman aşımının yaygın bir nedenidir, çünkü sunucu isteği alır, eşleşen bir istemci tanımı bulamaz ve yanıt vermeden onu atar. Paylaşılan gizli anahtar uyuşmazlığı da genellikle zaman aşımı gibi görünür, çünkü yanıt doğrulamayı geçemez ve atılır. Bunların hiçbiri Access-Reject gibi görünmez ve hiçbiri yerel bir hesap eklenerek düzeltilmez. Yöntem listesine dokunmadan önce istemci tanımını ve gizli anahtarı iki tarafta da kontrol edin.

Yerel hesap neden hiçbir şey kanıtlamadı

Listede bir gruptan sonra duran hesap yalnızca birinin kesinti planladığını kanıtlar. Planın işe yarayıp yaramadığı hakkında hiçbir şey söylemez, çünkü onu sınayan durum kimsenin prova etmediği durumdur: sunucu yanıt vermeyi bıraktı. Normal çalışmada hiç ulaşılmayan yerel bir oturum açma, süresi dolmuş bir parolayı veya kilitli bir durumu aylarca taşıyabilir ve kimse fark etmez.

Acil erişim bir tasarım kararıdır, yapılandırmanın yan etkisi değildir. Ona kendi kısıtlı hesabını, kendi sorumlusunu ve yazılı bir kurtarma prosedürünü verin ve paylaşılan gizli anahtarın rotasyonunu o prosedüre dahil edin. Her merkezi kullanıcı için aynı adlı yerel bir parola tutmak, kaldırdığınızı düşündüğünüz erişimi sessizce geri getiren kalıptır.

Önemli olan test kasıtlıdır ve çalışırken oturum açmaları kesintiye uğratır. Tam bu yüzden geri alma adımının önce yazıldığı planlı bir pencereye aittir.

Yedek yolu bir bakım penceresi sırasında kontrol edin

Testi, son giriş yolunu asla kaldırmayacak şekilde sıralayın. Önce bağımsız bir yönetim yolu, sonra normal izin verilen erişim, sonra kasıtlı bir ret, sonra onaylanmış kesinti davranışı doğrulayın. Bu dört durumun beklenen sonuçları farklıdır ve onları tek bir teste sıkıştırmak, insanların hâlâ ihtiyaç duydukları cihazın dışında kendilerini kilitleme biçimidir.

Her kontrolü bir konsol oturumundan veya bant dışı bir yoldan çalıştırın, böylece bir hata üzerinde çalıştığınız oturumu kapatamaz. Konsol, test edilen bileşene bağlı olmayan tek yoldur.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Ardından önceki yapılandırmayı geri yükleyin ve sayaçların bir sonraki gerçek oturum açmada yeniden hareket ettiğini doğrulayın. Kasıtlı ret, ret yerine yerel bir oturum açma üretiyorsa, liste veya hata işleme inandığınız şey değildir ve bu bulgu başladığınız kesintiden daha önemlidir. Sonucu, hesap adlarının ve testin tarihinin yanındaki değişiklik kaydına yazın.